結論：禁止だけでなく「安全に使える範囲」を明記する
生成AIの社内ルールは、全面禁止や自己責任で終わらせず、利用できる業務、承認済みサービス、入力禁止情報、人が確認・承認する操作、事故時の連絡先を具体的に定めます。以下の12条は小規模な会社向けのたたき台です。自社の契約、業務、法令、扱う情報に合わせて修正してください。
このひな形は一般的な情報提供であり、個別の法的助言ではありません。重要な契約や法令判断は専門家へ確認してください。
生成AIの社内利用ルールひな形12条
第1条 目的
本ルールは、当社における生成AIの安全かつ有効な利用方法を定め、業務効率化と品質向上を図りながら、情報漏えい、権利侵害、誤情報、誤操作などのリスクを抑えることを目的とします。
第2条 対象者・対象サービス
本ルールは、役員、従業員、業務委託者のうち当社業務で生成AIを利用する者に適用します。業務利用できるのは、管理責任者が承認し、会社が契約または利用を認めたサービスに限ります。
第3条 利用できる業務
文章の下書き、要約、翻訳、アイデア整理、公開情報の調査補助、問い合わせ分類、社内資料検索など、管理責任者が認めた業務に利用できます。利用者はAIの出力を完成品ではなく確認が必要な案として扱います。
第4条 入力してはいけない情報
承認された環境と方法を除き、個人情報、要配慮個人情報、顧客・取引先の秘密、営業秘密、未公開の経営情報、認証情報、契約で第三者提供を禁止された情報を入力してはいけません。判断できない場合は入力前に管理責任者へ確認します。
第5条 禁止する利用
違法行為、差別・嫌がらせ、なりすまし、虚偽情報の意図的な作成、認証情報の生成・推測、許可のないシステム操作、他者の権利を侵害する目的では利用しません。採用、契約、支払いなど重要な最終決定をAIだけで行いません。
第6条 出力の確認
利用者は、事実、数値、固有名詞、引用、出典、最新性、差別や偏り、著作権その他の権利を確認します。根拠を確認できない情報は事実として社外へ提示しません。
第7条 人の承認が必要な操作
社外への送信・公開、予約確定、契約、採用、価格変更、支払い、返金、データ更新・削除など、顧客や会社へ大きな影響を与える操作は、指定された担当者の承認後に実行します。
第8条 知的財産・機密保持
第三者の文章、画像、コード等を入力・利用するときは、利用許諾、引用条件、社内契約を確認します。生成物が既存の著作物、商標、営業秘密などを侵害していないか、用途に応じて確認します。
第9条 アカウント・アクセス管理
会社が指定したアカウントを利用し、アカウントの共有を禁止します。多要素認証、会社・部署・役割ごとの権限を設定し、異動・退職・契約終了時は速やかに権限を変更または削除します。
第10条 記録と費用管理
重要な利用について、利用者、日時、目的、参照データ、実行した操作、承認者を記録します。管理責任者は利用量と費用を確認し、利用者・部署・会社ごとの上限と通知条件を設定します。
第11条 事故・誤入力時の対応
機密情報の誤入力、誤送信、権限外の表示、不正利用、想定外の自動操作を発見した場合、利用者は直ちに処理を停止し、記録を保全して管理責任者へ報告します。自己判断で隠したり、記録を削除したりしません。
第12条 教育・見直し
会社は利用開始前と定期的に教育を行います。管理責任者は、サービスの規約・機能・モデル、法令、業務範囲、事故や失敗事例の変化に応じて本ルールを見直し、変更内容を対象者へ周知します。
入力禁止情報の具体例
| 個人情報 | 氏名・連絡先・予約履歴など利用目的、本人への説明、サービスの取扱条件を確認する |
|---|---|
| 要配慮個人情報 | 病歴・健康・信条など原則として一般の生成AIへ入力せず、必要性と適法性を個別確認する |
| 営業秘密 | 顧客名簿・原価・技術情報など秘密管理と契約条件を満たす承認環境以外には入力しない |
| 認証情報 | パスワード・APIキー・秘密鍵プロンプト、ファイル、画面共有へ貼り付けない |
| 第三者の秘密 | 取引先資料・未公開情報契約上の利用範囲と第三者提供の可否を確認する |
詳しい分類とサービス選定は生成AIに社内情報を安全に使わせる方法にまとめています。
人の承認を置く場所
| 下書き・要約 | 担当者が確認事実、数値、固有名詞、出典を原文と照合する |
|---|---|
| 社外送信・公開 | 送信者または責任者が承認宛先、機密、権利、表現、添付を確認する |
| 予約・データ更新 | 業務責任者が承認正本の状態、重複、対象、変更内容を確認する |
| 契約・採用・支払い | AIのみで決定しない根拠を確認できる人が責任を持って最終判断する |
| 削除・大量処理 | 二段階承認と上限対象件数、復旧方法、停止方法、ログを確認する |
AIが文章を作ることと、会社として送信・公開・実行することを分けます。影響が大きく、元に戻しにくい操作ほど、承認者、上限、ログ、停止方法を強くします。
誤入力・誤操作が起きたときの5手順
| 1. 停止 | 送信・連携・自動実行を止める影響拡大を防ぎ、必要ならアカウントやキーを無効化する |
|---|---|
| 2. 保全 | 時刻・入力・出力・操作を残す原因確認に必要なログを自己判断で削除しない |
| 3. 報告 | 管理責任者へ連絡する入力情報、対象者、公開範囲、実行結果を伝える |
| 4. 確認 | 提供会社・関係者と影響を調べる削除可否、外部流出、法令・契約上の対応を確認する |
| 5. 再発防止 | 権限・ルール・教育を直す個人だけの注意で終わらせず、仕組みを修正する |
社内利用ルールを導入する7つの手順
ひな形を配るだけで終わらせず、承認サービス、連絡先、実際の業務例まで決めます。
STEP 1 利用目的と対象者を決める
誰が、どの業務で、何のために使うかを決め、私的利用と業務利用を分けます。
STEP 2 承認するサービスと設定を確認する
契約、保存、学習利用、管理者機能、アクセス権、削除方法を確認し、利用可能なサービスを一覧にします。
STEP 3 入力情報を分類する
公開、社内限定、個人情報、営業秘密に分け、承認なしで入力できる範囲を決めます。
STEP 4 人が承認する操作を決める
社外送信、予約、更新、支払い、削除など、影響の大きい操作の承認者を決めます。
STEP 5 事故連絡先と停止方法を共有する
誤入力や誤操作が起きたとき、誰へ連絡し、何を止め、どの記録を残すかを一枚にまとめます。
STEP 6 小さな試行と教育を行う
承認済みの一業務で試し、正しい例だけでなく誤り、権限外、悪意ある指示も使って訓練します。
STEP 7 毎月または変更時に見直す
利用状況、失敗、規約、機能、モデル、費用、法令の変更を確認し、ルールと承認サービスを更新します。
ルールと一緒に用意する4つのもの
承認済みAIサービス一覧、入力情報の分類表、重要操作の承認者一覧、事故時の連絡先と停止手順を一緒に用意します。これらがないと、利用者は「何が禁止か」は分かっても、迷ったときに誰へ聞き、どう止めるか判断できません。
契約前の確認にはAI導入チェックリスト20項目、対象業務選びにはAIで業務自動化できること10選も利用できます。
公的資料に沿って定期的に見直す
IPAの「テキスト生成AIの導入・運用ガイドライン」は、組織内の利活用ルールの策定・文書化やリスク管理を扱っています。経済産業省・総務省のAI事業者ガイドライン第1.2版は、AI利用者を含む事業者向けの共通指針です。個人情報保護委員会も、生成AIへ個人情報を入力する際の注意を公表しています。
参考：IPA「テキスト生成AIの導入・運用ガイドライン」／経済産業省「AI事業者ガイドライン（第1.2版）」／個人情報保護委員会「生成AIサービスの利用に関する注意喚起」
よくある質問
生成AIの社内利用ルールには何を書けばよいですか？
目的、対象者、利用可能なサービス、利用できる業務、入力禁止情報、禁止用途、出力確認、人の承認、知的財産、アカウント管理、記録、事故対応、教育と見直しを定めます。
会社名を生成AIへ入力してもよいですか？
会社名だけで一律には判断できません。未公開情報や取引内容と組み合わさると機密になる場合があります。情報の公開範囲、契約、利用目的、サービスの保存・学習条件を確認してください。
顧客情報を匿名化すれば入力できますか？
氏名を消すだけで安全とは限りません。予約日時、店舗、施術内容などの組み合わせから本人を特定できる可能性があります。再識別できないかを確認し、承認された環境と利用目的の範囲で扱います。
AIが作った文章をそのまま公開してよいですか？
そのまま公開せず、事実、数値、固有名詞、出典、最新性、差別や偏り、著作権などを担当者が確認します。医療、法律、契約、安全に関わる内容は専門家や責任者の確認が必要です。
生成AIの社内ルールは一度作れば十分ですか？
十分ではありません。サービスの規約・機能・モデル、利用業務、法令、事故や失敗事例は変わります。変更時に加え、少なくとも定期的に利用実態とルールのずれを確認します。
自社の業務に合わせて利用ルールを整えます
利用中のAI、扱う情報、承認が必要な操作を確認し、現場が迷わず使えるルールと仕組みにします。導入設計から実装、運用改善まで一人で担当します。
LINE で相談する